Explicación de la ciberseguridad en vehículos

Un análisis independiente realizado por DQS, un organismo de certificación acreditado.

ENX VCS (Vehicle Cyber Security) es el esquema de evaluación de la industria automotriz para evaluar la seguridad cibernética de una organización. Sistema de gestión de ciberseguridad (CSMS) para vehículos y sus componentes. Desarrollado por la Asociación ENX, el mismo organismo que gestiona TISAX®, ENX VCS proporciona una base de pruebas estandarizada a nivel mundial mediante la cual los proveedores pueden demostrar que implementan un CSMS en línea con la norma ISO/SAE 21434 y la guía de la norma ISO/PAS 5112, y que respalda el cumplimiento de las expectativas reglamentarias del Reglamento n.º 155 de la UNECE (UN R155).

ENX VCS es relevante para las organizaciones de la cadena de valor automotriz cuyos productos, componentes, software o servicios contribuyen a la ciberseguridad de los vehículos. Esto incluye a los fabricantes de equipos originales (OEM), proveedores de primer nivel de unidades de control electrónico y componentes conectados, proveedores de software y plataformas, y proveedores de servicios de ingeniería. Los clientes, en particular los OEM sujetos a las obligaciones de homologación UN R155, exigen cada vez más a sus proveedores que demuestren un sistema de gestión de la ciberseguridad (CSMS) evaluado de forma independiente.

ENX VCS se lanzó en junio de 2024 y se ha expandido progresivamente desde entonces. El registro gratuito durante la fase inicial se extendió hasta finales de 2024, y el despliegue más amplio continuó en 2025 y 2026. ENX VCS se suma a la cartera de esquemas ENX junto con TISAX, con una cartera actual Etiqueta TISAX Generalmente sirve como requisito previo para las auditorías de ENX VCS.

Una de las principales diferencias entre ENX VCS e ISO/SAE 21434 radica en los estrictos requisitos de cualificación para el equipo de evaluación. En concreto, cada equipo debe incluir un experto en VCS con experiencia práctica demostrada en ciberseguridad automotriz y en el ámbito de la ciberseguridad vehicular (VCS).

Si bien estos requisitos de cualificación aumentan inevitablemente el coste de una evaluación VCS, también aportan un valor significativo al cliente. La participación de expertos en VCS con amplia experiencia garantiza una evaluación técnicamente sólida y coherente, facilita debates más productivos durante las entrevistas y permite a los clientes beneficiarse de la experiencia práctica de los evaluadores en implementaciones reales de ciberseguridad en el sector automotriz.

Los clientes pueden obtener una o más de tres etiquetas VCS para sus ubicaciones relacionadas con VCS: "VCS Development", "VCS Production" y "VCS Operations and Maintenance". Estas etiquetas permiten a las organizaciones demostrar sus capacidades específicas de ciberseguridad a los clientes y otros partes interesadas , dependiendo de las actividades de VCS de las que sean responsables contractualmente.

La norma UN R155 entró en vigor en enero de 2021. Sin embargo, las fechas de cumplimiento obligatorio varían según la jurisdicción. En la Unión Europea, la norma UN R155 se aplica a todos los vehículos de nueva homologación desde julio de 2022 y a todos los vehículos de nueva producción desde julio de 2024. China ha introducido su propia normativa nacional de ciberseguridad, la GB 44495:2024, que, si bien se alinea en líneas generales con los objetivos de la norma UN R155, constituye un marco regulatorio independiente. Esta normativa se aplica a los vehículos de nueva homologación desde enero de 2026 y a todos los vehículos de nueva producción desde enero de 2028.

¿Qué es ENX VCS desde la perspectiva de un organismo de certificación?

Desde la perspectiva de un organismo de certificación, ENX VCS es el esquema de evaluación de la industria automotriz mediante el cual un proveedor de auditoría aprobado por la Asociación ENX evalúa el CSMS de una organización conforme a los requisitos de ISO/SAE 21434, las directrices de ISO/PAS 5112 y los requisitos del esquema ENX VCS. El resultado de la evaluación es un certificado de auditoría ENX VCS que se intercambia a través del Portal ENX —similar en concepto al intercambio de etiquetas TISAX— en lugar de un certificado al estilo ISO.

ENX VCS se sitúa junto a TISAX como parte del portafolio del esquema ENX: TISAX se centra en la seguridad de la información en las instalaciones del proveedor; ENX VCS se centra en el CSMS del proveedor para el vehículo y sus componentes. Una etiqueta TISAX vigente y establecida Sistema de gestión de calidad Generalmente, estos son requisitos previos para las auditorías de ENX VCS. La evaluación por parte de un proveedor de auditorías aprobado es la forma reconocida en toda la industria para demostrar un CSMS, y el resultado de la auditoría es aceptado por los clientes OEM participantes a través del mecanismo de intercambio de ENX.

Como organismo de certificación, DQS evalúa la conformidad; no diseña ni implementa su sistema de gestión de ciberseguridad. independencia Esto es lo que da valor al resultado de una auditoría de ENX VCS: la organización crea y gestiona el CSMS, y un proveedor de auditorías aprobado lo verifica conforme a los requisitos del esquema.

Información clave sobre ENX VCS de un vistazo

Contexto y factores clave para ENX VCS

Norma UN R155 y homologación de tipo de vehículo

El Reglamento n.º 155 de la UNECE establece disposiciones uniformes para la homologación de vehículos en lo que respecta a la ciberseguridad y los sistemas de gestión de la ciberseguridad. Los fabricantes de vehículos deben demostrar que operan un sistema de gestión de la ciberseguridad (SGC) que abarque todo el ciclo de vida, desde el desarrollo hasta la producción y la posproducción. Los fabricantes de equipos originales (OEM) deben transmitir las expectativas sobre el SGC a sus proveedores, quienes a su vez necesitan un SGC eficaz y demostrable.

ISO/SAE 21434 e ISO/PAS 5112

La norma ISO/SAE 21434 (Vehículos de carretera: Ingeniería de ciberseguridad) es la norma técnica de referencia para la ingeniería de ciberseguridad en todo el ciclo de vida del producto automotriz. La norma ISO/PAS 5112 (Directrices para la auditoría de la ingeniería de ciberseguridad) proporciona orientación sobre la auditoría de las implementaciones de los SGCS. La norma ISO/SAE 21434 por sí sola no es suficiente para cumplir con todos los requisitos de la norma UN R155; esta norma hace referencia a la norma, pero añade otras exigencias regulatorias. ENX VCS utiliza estos documentos como base de evaluación al implementar los procedimientos del esquema, lo que permite que los resultados de las auditorías sean comparables e intercambiables en toda la industria.

Reconocimiento mutuo y reducción de auditorías duplicadas

Los proveedores del sector automotriz están cada vez más sujetos a múltiples auditorías de ciberseguridad por parte de diferentes fabricantes de equipos originales (OEM). ENX VCS se basa en el reconocimiento mutuo: una organización encarga una evaluación y comparte el resultado a través del portal ENX, lo que reduce la duplicación. La combinación de TISAX y ENX VCS ofrece a los OEM una visión integral: seguridad de la información en las instalaciones del proveedor, además de ingeniería de ciberseguridad para productos y componentes de vehículos.

Requisitos básicos para ENX VCS

Gobernanza de la ciberseguridad y contexto organizacional

Establecimiento de una cultura de ciberseguridad, roles de gobernanza, políticas y compromiso de la dirección. El CSMS debe estar integrado en la gobernanza general de la organización e integrarse con la gestión de la calidad, la seguridad de la información y la seguridad funcional.

Gestión de Riesgos de Ciberseguridad (TARA)

Análisis sistemático de amenazas y evaluación de riesgos (TARA) conforme a la norma ISO/SAE 21434, aplicado a los activos de los vehículos y sus interfaces relevantes para la ciberseguridad. Los riesgos identificados se evalúan y gestionan mediante controles documentados y decisiones de diseño.

Ciberseguridad en el ciclo de vida del producto

Actividades de ciberseguridad que abarcan desde la concepción y el desarrollo del producto hasta la fase posterior al desarrollo (producción, operaciones, mantenimiento y desmantelamiento) y los procesos de apoyo, incluyendo la gestión de requisitos, el diseño, la integración, la verificación y la validación.

Actividades continuas de ciberseguridad

monitoreo de ciberseguridad, gestión de vulnerabilidades La respuesta a incidentes y el soporte posproducción son actividades continuas a lo largo del ciclo de vida del vehículo. La norma UN R155 exige explícitamente que las capacidades del Sistema de Gestión de Ciberseguridad (CSMS) se mantengan de forma continua. Por consiguiente, ENX VCS evalúa no solo la madurez inicial de estos procesos, sino también la capacidad de la organización para mantenerlos a lo largo del tiempo.

El requisito de mantener etiquetas TISAX válidas complementa este objetivo al brindar la garantía de que la postura de seguridad de la información de la organización sigue siendo efectiva contra las amenazas de TI en constante evolución que podrían afectar sus actividades de ciberseguridad vehicular.

Gestión de proveedores y desarrollo distribuido

Gestión de la ciberseguridad en la cadena de suministro: requisitos que se transmiten a los proveedores, evaluación de sus capacidades, acuerdos de interfaz y actividades conjuntas de ciberseguridad. ENX VCS ayuda a los fabricantes de equipos originales (OEM) a demostrar la capacidad de ciberseguridad de sus proveedores en toda su cadena de suministro.

Proceso de auditoría e intercambio

Las evaluaciones son realizadas por proveedores de auditoría aprobados por la Asociación ENX. Los hallazgos se documentan y clasifican, y los resultados de la evaluación se comparten a través del Portal ENX con los clientes participantes, de acuerdo con el consentimiento del proveedor y las normas del programa ENX VCS.

Las partes interesadas pueden registrarse como participantes de ENX para obtener visibilidad en tiempo real del estado actual de la certificación VCS de sus proveedores. Esto permite que el portal ENX funcione como una herramienta eficaz de gestión de proveedores, lo que permite a las organizaciones verificar y supervisar continuamente el estado de la evaluación de ciberseguridad de su cadena de suministro.

Grupos objetivo y áreas de aplicación de ENX VCS

ENX VCS está dirigido a organizaciones cuyos productos, componentes, software o servicios contribuyen a la ciberseguridad de los vehículos. Su alcance típico incluye a fabricantes de equipos originales (que se preparan para obtener y mantener las homologaciones UN R155), proveedores de nivel 1 de unidades de control electrónico (ECU), unidades telemáticas, pasarelas, sistemas de infoentretenimiento y componentes conectados, proveedores de nivel 2 de semiconductores, software integrado y módulos de hardware relevantes para la ciberseguridad, proveedores de plataformas de software/infraestructura para vehículos y sistemas de back-end, y proveedores de servicios de ingeniería que realizan desarrollos en nombre de fabricantes de equipos originales y proveedores de nivel 1.

Los fabricantes de equipos originales (OEM) y los clientes de primer nivel utilizan los resultados de las auditorías de ENX VCS, junto con las etiquetas TISAX, como base para la calificación de proveedores y la gestión continua de los mismos. Este sistema facilita la toma de decisiones informadas por parte de los departamentos de compras, ciberseguridad e ingeniería de las organizaciones clientes y reduce la carga de auditoría para los proveedores que prestan servicios a múltiples OEM.

Las organizaciones ajenas al sector automotriz suelen basarse en la norma ISO/IEC 27001 u otros marcos de seguridad de la información y ciberseguridad específicos del sector, en lugar de ENX VCS. Cuando un proveedor presta servicios tanto al sector automotriz como a industrias afines (por ejemplo, control industrial, dispositivos médicos), a menudo se mantienen certificaciones y evaluaciones paralelas.

Estándares relacionados con ENX VCS

Relación con TISAX®

TISAX es el esquema de evaluación de seguridad de la información para la industria automotriz y se centra en el sistema de gestión de seguridad de la información a nivel de planta del proveedor. ENX VCS se centra en el sistema de gestión de ciberseguridad del proveedor para vehículos y sus componentes. Generalmente, contar con la certificación TISAX vigente es un requisito previo para una auditoría ENX VCS. Ambos esquemas son complementarios dentro del portafolio de ENX y no son intercambiables.

ISO/SAE 21434 – Norma de ingeniería de referencia

La norma ISO/SAE 21434 es el estándar internacional para la ingeniería de ciberseguridad de vehículos de carretera y constituye la base técnica de ENX VCS. Sin embargo, la norma ISO/SAE 21434 por sí sola no es suficiente para cumplir con todos los requisitos de la norma UN R155. ENX VCS utiliza las normas ISO/SAE 21434 e ISO/PAS 5112 dentro de un esquema de evaluación estructurado que facilita la alineación de los fabricantes de equipos originales (OEM) y sus proveedores con la norma UN R155.

El Reglamento UN R155 y el contexto normativo

La norma UN R155 de la CEPE establece los requisitos de homologación para vehículos en materia de ciberseguridad y sistemas de gestión de la seguridad de vehículos (CSMS). La norma UN R155 es ley en muchas jurisdicciones tras su adopción nacional. ENX VCS permite demostrar la conformidad de un CSMS con las expectativas de la norma UN R155, pero los resultados de la auditoría de ENX VCS no constituyen por sí solos la homologación según la norma UN R155, cuya responsabilidad recae en las autoridades competentes de homologación.

ISO/IEC 27001 y la gestión de la seguridad de la información

La norma ISO/IEC 27001 es el estándar internacional certificable de sistemas de gestión de la seguridad de la información. Si bien su alcance es más amplio que la ciberseguridad automotriz, la ISO/IEC 27001 se alinea estructuralmente con el enfoque de sistemas de gestión que sustenta las normas ISO/SAE 21434 y ENX VCS. Muchos proveedores del sector automotriz mantienen la certificación ISO/IEC 27001 junto con las etiquetas TISAX y los resultados de las auditorías ENX VCS.